04 漏洞发现:使用 Burp Suite 查看并修改请求

Burp Suite 和 OWASP ZAP 类似,不仅仅是一个Web代理器,还包含很多其它的测试工具(代理、请求重发器、请求自动化工具、字符串加解密、漏洞扫描<专业版提供>等),这篇文章,我们使用这个工具完成和上一篇文章一样的操作:拦截并修改请求。

启动Burp Suite并配置浏览器走Burp的代理。

实施步骤

浏览器访问http://192.168.56.102/mutillidae/

Burp的代理配置默认开启了请求拦截,因此它能够抓取第一个请求。我们需要到Burp的Proxy标签页,点击** Intercept is on **按钮,暂时先关闭拦截功能,关闭后如下图所示:

04 漏洞发现:使用 Burp Suite 查看并修改请求_第1张图片
Paste_Image.png

跟上一篇文章一样,把应用的安全级别调整为:

04 漏洞发现:使用 Burp Suite 查看并修改请求_第2张图片
Paste_Image.png

从左侧导航栏,进入页面:OWASP Top 10 | A1 – SQL Injection | SQLi – Extract Data | User Info

04 漏洞发现:使用 Burp Suite 查看并修改请求_第3张图片
Paste_Image.png

然后再Name输入框,输入双引号中的字符串 “user<>”,在Passwork录入框,输入双引号中的字符串“secret<>”,然后点击** Login **。然后我们会得到应用给出的告警信息,告知我们使用了可能会危害应用的非法字符。

04 漏洞发现:使用 Burp Suite 查看并修改请求_第4张图片
登陆信息
04 漏洞发现:使用 Burp Suite 查看并修改请求_第5张图片
告警提示

如此我们验证了,这些字符是表单不允许的,同时由于在代理的HTTP history标签页没有看到应用向后台发请求的记录,我们推断该校验为前端客户端校验。下面我们来绕过该校验吧。再次点击**Intercept is off **按钮,开启请求拦截功能。按下按钮后,如下图:

04 漏洞发现:使用 Burp Suite 查看并修改请求_第6张图片
开启拦截

下一步是,用合法有效的用户名和密码(user/secret)登陆,此时代理会拦截请求,如下图,然后我们修改 username 和 password 参数的值,添加非法字符 <> 。

04 漏洞发现:使用 Burp Suite 查看并修改请求_第7张图片
Paste_Image.png
04 漏洞发现:使用 Burp Suite 查看并修改请求_第8张图片
Paste_Image.png

如果要发送修改后的请求并停止拦截请求,点击** Intercept is on ,如果要发送修改后的请求并保持拦截请求状态,点击 Forward **。这里我们关闭后续拦截操作,并查看结果:

04 漏洞发现:使用 Burp Suite 查看并修改请求_第9张图片
请求结果

总结

跟上一篇文章中提到的一样,我们先发起一个有效的通过客户端校验的请求,在代理处拦截,修改请求内容再发给服务器,从而绕过前端校验,这一过程在渗透测试中是非常有用和重要的。但是,如果要更加深入的了解被测应用的安全机制和漏洞,我们需要根据对系统的理解,添加、删除或替换更多的参数,观察不同的响应,来做进一步分析和判断。

你可能感兴趣的:(04 漏洞发现:使用 Burp Suite 查看并修改请求)